Ism: Beveiligingslek bij onjuiste bestandstoestemming dell EMC iDRAC Service Module

CVE-identifier: CVE-2018-11053

Ernst: Gemiddeld

Betreffende producten: Dell EMC iDRAC Service Module 3.0.1, 3.0.2, 3.1.0, 3.2.0 (voor alle ondersteunde Linux- en XenServer-besturingssystemen)

Samenvatting:

De Dell EMC iDRAC Service Module (iSM) is bijgewerkt en bevat oplossingen voor een beveiligingslek bij het machtigen van bestanden dat door schadelijke gebruikers en processen van hostbesturingssystemen misbruikt kon worden en het getroffen systeem in gevaar kon brengen.

Details:

De Dell EMC iDRAC Service Module voor alle ondersteunde Linux- en XenServer-versies 3.0.1, 3.0.2, 3.1.0, 3.2.0 verandert — als deze wordt gestart — de standaard bestandmachtiging van het hostbestand van het hostbesturingssysteem (/etc/hosts) naar bewerkbaar voor iedereen. Een schadelijk niet-gemachtigde gebruiker of proces van het besturingssysteem zou het hostbestand kunnen wijzigen en het verkeer in plaats van naar de beoogde bestemming door kunnen sturen naar sites met schadelijke of ongewenste content.

iDRAC Service Module voor Windows of VMWare ESXi wordt niet beïnvloed door dit probleem

De volgende Dell EMC iDRAC Service Module releases bevatten oplossingen voor dit beveiligingslek:

• Dell EMC iDRAC Service Module 3.2.0.1 (voor alle ondersteunde Linux en XenServer-besturingssystemen)
• Dell EMC iDRAC Service Module 3.1.0.1 (voor alle ondersteunde Linux en XenServer-besturingssystemen)

Dell EMC raadt aan om zo snel mogelijk te upgraden. Downloads voor het gewenste besturingssysteem staan hieronder:

• iSM 3.2.0.1 RPM-pakketten voor RHEL 6, RHEL 7, CentOS 6, CentOS 7, SLES 11 en SLES 12
• iSM 3.2.0.1 DUP-pakket voor RHEL 6, RHEL 7, CentOS 6, CentOS 7, SLES 11 en SLES 12
• iSM 3.2.0.1 ISO-afbeelding voor XenServer 7

• iSM 3.1.0.1 RPM-pakketten voor RHEL 6, RHEL 7, CentOS 6, CentOS 7, SLES 11 en SLES 12
• iSM 3.1.0.1 ISO-afbeelding voor XenServer 7

Dell EMC adviseert alle gebruikers om na te gaan of deze informatie voor hun eigen situatie geldt en passende maatregelen te nemen. De gegeven informatie is een feitelijke weergave van de situatie zonder enige vorm van garantie. Dell EMC wijst alle garanties, hetzij uitdrukkelijk of impliciet, af, inclusief de garanties van verhandelbaarheid, geschiktheid voor een bepaald doel, titel en niet-schending. Dell EMC of haar leveranciers kan in geen enkel geval aansprakelijk worden gesteld voor enige schade, inclusief directe, indirecte, incidentele schade, gevolgschade, winstderving of speciale schade, zelfs indien Dell EMC of haar leveranciers zijn gewezen op de mogelijkheid van dergelijke schade. In bepaalde Amerikaanse staten is uitsluiting of beperking van aansprakelijkheid voor gevolgschade of incidentele schade niet toegestaan, waardoor de voornoemde beperking mogelijk niet van toepassing is.